Question

上下文：我正在将EKS与带有calico插件一起用于网络策略和受管节点组。

我有一个名为“ simon-test”的名称空间，在该名称空间中我想拒绝所有从该名称空间到其他名称的出站（因此simon-test中的Pod将无法看到其他名称空间中的其他Pod）。我尝试使用以下网络策略（似乎可以正常工作）执行此操作：

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: default-deny-all-egress
  namespace: simon-test
spec:
  policyTypes:
  - Egress
  podSelector: {}
  egress: []

但是这也阻止了名称空间内的所有内部网络。因此，为了解决此问题，我创建了另一个网络策略，该策略应允许名称空间内的所有流量：

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: allow-internal
  namespace: simon-test
spec:
  podSelector:
    matchLabels: {}
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          name: simon-test

但这并不能解决问题，因为名称空间内仍然没有网络。我很好奇为什么我仍然可以从另一个命名空间中的另一个Pod到达“ simon-test”（我正在“ simon-test”中的Pod中运行nc -nlvp 9999，并且从另一个命名空间的Pod中运行nc -z ip-of-pod-in-simon-test-ns 9999并且可以到达，但是在simon-test内对Pod进行ping操作时无法做到）。

Answer 1

我不确定calico /网络政策的内部情况，但是我可以通过以下方式解决此问题：

  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          name: simon-test

上面的入口规则不起作用，因为名称空间上没有“ name = simon-test”标签它。我认为默认情况下，所有名称空间都有一个名为“名称”的标签，您可以从这里参考，但事实并非如此。至解决此问题，我必须添加标签： kubectl label ns simontest name=simon-test。
对于第二个问题：I am curious why I can still reach "simon-test" from another pod in another namespace though (when ingress was blocked)是因为我试图从kube-system中的一个pod到达“ simon-test” ns，而这恰好是使用启用hostNetwork的，因此是IP地址该Pod已分配，恰好是k8s节点的IP地址（而不是Pod的IP，显然网络策略可以区分何时将IP分配给Pod和k8s节点？），因此没有被过滤根据网络政策。

如何使用网络策略拒绝出口到所有名称空间，以及如何允许从kubernetes中的某些名称空间进入

1 个答案: